Решение № 6051 от 19.05.2021 г. на ВАС по адм. д. № 3684/2021 г.

Решение № 6051 от 19.05.2021 г. на ВАС по адм. д. № 3684/2021 г., V о., докладчик председателят Анна Димитрова Производството е чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано по касационна жалба на Национална агенция за приходите (НАП), чрез процесуален представител, срещу частта от решение № 6176/9.11.2020 г. по адм. дело № 4520/2020 г. на Административен съд - София - град, с което е осъдена НАП, по иска с правно основание по чл. 79, пар. 1 и чл. 82, пар. 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46 ЕО (ОРЗД) да заплати на Н. П. сумата в размер на 500 ( петстотин) лева, представляваща обезщетение за неимуществени вреди, настъпили от неправомерното бездействие на ответника да изпълни задължението си да защити по сигурен начин данните на ищцата като физическо лице, позволило неоторизиран достъп и разкриване на личните данни на ищеца, оповестено публично на 15.07.2019 г., заедно със законната лихва върху тази сума, считано от 15.07.2019 г. до окончателното плащане. Касаторът поддържа в касационната жалба и в съдебно заседание, че решението в обжалваната част е неправилно - поради нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необснованост, иска отмяната му, отхвърляне на исковете за обезщетение и лихви, присъждане на юрисконсултско възнаграждение. Ответникът по касационна жалба - Н. П., не взима становище по касационната жалба. За да постанови обжалваната част от решението, АССГ, е изложил мотиви, че НАП е администратор на лични данни по смисъла на чл. 4, т. 7 ОРЗД и между страните няма спор, че поради нерегламентиран достъп на неизвестно лице, публично оповестен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6 074 140 физически лица, от които 4 104 786 живи физически лица, български и чужди граждани, и 1 989 598 починали лица, между които и личните данни на ищцата, видно от приложеното копие от sms. От приетия по делото амбулаторен лист от 4.10.2019 г., издаден на ищцата след преглед от лекар, е видно, че от средата на м. юли след новината за публикуване на лични данни, съхранявани от НАП и след проверка, че собствените й лични данни са изтекли във виртуалното пространство и са общодостъпни започнала да се притеснява, че може да бъде злоупотребено с личните й данни, изгубила си съня, притеснявала се постоянно, че не може да защити адекватно себе си и имуществото си. Като обективно състояние е посочено, че е тревожна, ангажирана с реална посттравмена ситуация, емоционално лабилна и с нарушен сън и апетит. Предписана й е терапия. АССГ е разпределил тежестта на доказване, указал е на ответника, че в негова тежест е установяване на изпълнение на задълженията му по чл. 24 и 32 ОРЗД и е допуснал служебно съдебно - техническа експертиза в областта на киберсигурността, но ответникът с изрична молба е отказал да постави задачи на вещото лице (л. 132), тъй като според него тежестта на доказване в тази насока е на ищцата, поради което съдът е отменил определението си за допускане на експертиза. Като последица от разпределение на тежестта на доказване и отказът на ответника да постави задачи на вещо лице и придвид чл. 154 ГПК вр. чл. 205, ал. 1 АПК съдът е приел за установено, че НАП е бездействала за точно изпълнение на задължението по чл. 59 от закона защита на личните данни (ЗЗЛД) и чл. 32 ОРЗД, а именно да приложи подходящи технически мерки за осигуряване на нивото на сигурност, съобразено с риска, предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. Ненадлежното изпълнение, представляващо бездействие е довело до нарушение на сигурността на личните данни, довело до неразрешено разкриване и достъп до личните данни на ищцата, и е в пряка причинна връзка с емоционалните и психическите й терзания. Размерът на обезщетението по справедливост в съответствие с чл. 52 ЗЗД, ведно със законната лихва от датата на увреждането - 15.07.2019 г. Решението е правилно в обжалваната му част. Неоснователно е твърдението на касатора за неправилно разпределение на тежестта на доказване от АССГ. Според чл. 154 от ГПК всяка страна е длъжна да установи фактите, на които основава своите искания или възражения, като на основание чл. 153 и чл. 155 от ГПК на доказване подлежат спорните факти от значение за решаване на делото и връзките между тях, но не общоизвестните и служебно известните на съда факти, за които съдът е длъжен да съобщи на страните. Въз основа на тези доказателствени правила АССГ дава указания на НАП, че в негова тежест е да бъде установено, че мерките, които са предприети са в съответствие със задълженията на администратор на лични данни, произтичащи от Общия регламент за защита на данните и ЗЗЛД. Изрично, въпреки липсата на задължение за нарочни указания относно вида на допустимите доказателствени средства, в указанията първоинстанционният съд посочва, че спецификата на подлежащите на доказване обстоятелства изискват специални знания, с които съдът не разполага, но процесуалният представител на НАП отказва да постави задачи на служебно назначената съдебна експертиза. По принцип съдът не дължи указания на страните при разпределение на доказателствената тежест в процеса, че ангажираните от тях доказателства не са достатъчни за установяване на фактите, за които тя се носи от тях. Въпреки това, в случая АССГ, с извършените процесуални действия, на практика насочва НАП, че писмените доказателства, които са представени по делото за установяване на предприетите от администратора на лични данни действия по законосъобразното им събиране, обработване и съхраняване не са достатъчни, за да се приеме изпълнение на законовите изисквания към тази дейност. Независимо от положените усилия от решаващия съд за изясняване на делото от фактическа страна, по делото не са събрани доказателства, от които да се установява, че предприетите от НАП мерки са подходящите технически мерки с оглед естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, които чл. 24, § 1 от Общия регламент за защита на данните задължава всеки администратор на лични данни да въведе, за да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента. Какви са използваните от НАП технически мерки в изпълнение на задълженията му на администратор на лични данни и дали са подходящи, т. е. извършено ли е законосъобразно действие по изпълнение на законово задължение, тежестта на доказване е на НАП и в този смисъл ответната страна в исковото производство трябва да опровергае твърдението на ищеца, че е налице незаконосъобразно бездействие. Изрично трябва да бъде посочено, че съгласно чл. 24, § 1 от Общия регламент за защита на данните администраторът на лични данни трябва да гарантира и да е в състояние да докаже, че обработването се извършва в съответствие с регламента и взетите от него технически мерки с оглед естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица. При необходимост от съпоставяне и оценка на множество специфични обстоятелства обосновано АССГ приема, че за доказването са необходими специални знания и умения, а на основание чл. 195, ал. 1 от ГПК в тези случаи се назначава вещо лице, защото не е възможно да се очаква от съдът да разполага и ползва свободно всички достижения на науката, изкуството, занаятите и други (особено в толкова високотехнологична дейност като информационната сигурност). Следователно при условията на пълно насрещно доказване НАП не е установила факта, който е в нейна тежест на доказване, а именно, че взетите от нея мерки са подходящите и по този начин обосновано АССГ приема за доказано твърдението на ищцата за бездействие от страна на НАП. Следователно администраторът не е възможно да се освободи от отговорност по смисъла на чл. 82, § 3 от Общия регламент за защита на данните, защото не доказва, че по никакъв начин не е отговорен за събитието, причинило вредата. Неоснователни са доводите на касатора за недоказване от страна на ищцата, кои точно нейни лични данни са станали известни и дали изобщо са станали известни. Процесуалният представител на НАП не е оспорил представеното копие от sms, нито е твърдял съобщението да е изпратено на друго лице. При това положение изводът на АССГ за неправомерен достъп до личните данни на ищцата е обоснован, а за преценка на правилността на решението е без значение кои точно лични данни са разпространени неправомерно. По изложените съображения са неоснователни и съображенията в касационната жалба за липса на доказателства за причината за нерегламентирания достъп до личните данни на ищцата, доколкото този факт е извън фактите, които са в тежест на доказване на ищцата. Установяването на причината за нерегламентирания достъп представлява обстоятелство, на което администраторът на лични данни има възможност да се позове, за да се освободи от имуществена отговорност спрямо физическото лице като докаже, че взетите подходящи мерки не са били в състояния да я предотвратят, или да потърси регресна отговорност спрямо лицето, което е осъществило нерегламентирания достъп. В този смисъл неустановяването на причината за нерегламентирания достъп до личните данни на ищеца не представлява неизясняване на спора от фактическа страна поради допуснато процесуално нарушение, респективно основание за отмяна на съдебното решение, а неустановяване на факт, освобождаващи от отговорност администратора на личните й данни. В съответствие със събраните по делото доказателства и логическите връзки между тях е приетото за установено от АССГ наличие на пряка причинна връзка между невземането на подходящи мерки от страна НАП за защита на личните данни на ищеца и изпитаните от него притеснение и безпокойство. Медийното оповестяване на изтичането на информация от базите данни на НАП, съдържаща и лични данни на физически лица, не прекъсва причинната връзка между бездействието и настъпилите неимуществени вреди, доколкото на практика представлява средството за разбиране, че е извършено непозволено увреждане. Обосновано и в съответствие с трайната съдебна практика в областта на непозволеното увреждане, АССГ приема, че изпитването на притеснения, тревога и безпокойство представляват неимуществени вреди, които подлежат на обезщетение. Не е възможно да бъде споделено обратното становище, че изпитването само на неприятни емоции от описания вид не е достатъчно, за да бъдат определени като неимуществени вреди, ако не са свързани с реален страх от реална заплаха от увреждане на имущество или не са довели до продължително психично разстройство (дълбока депресия). Защитата на физическите лица във връзка с обработването на лични данни е основно право. Член 8, параграф 1 от Хартата на основните права на Европейския съюз (Хартата/ХОПЕС) и член 16, параграф 1 от Договора за функционирането на Европейския съюз (ДФЕС) предвиждат, че всеки има право на защита на личните му данни. Принципите и правилата относно защитата на физическите лица във връзка с обработването на личните им данни следва, независимо от тяхното гражданство или местопребиваване, да са съобразени с техните основни права и свободи, и по-конкретно — с правото на защита на личните им данни. В този смисъл всяко нарушение спрямо основно право трябва да се разглежда като особено съществено. Причиняването на усещане за тревога от нарушената сигурността на защитимото благо (личните данни) е достатъчно, за да се ангажира отговорност на лицето, което има задължение да я гарантира и да не позволи нарушения на гарантирани от европейското право основани права. Настоящият съдебен състав намира, че при правилно приложение на чл. 52 ЗЗД е определен размера на дължимото обезщетение по справедливост, ведно със законната лихва от датата на увреждането. неоснователни са доводите за недоказаност на момента на узнаване от ищцата за неправомерния достъп до данните и, предвид цитираното съдържание на амбулаторния лист, в който изрично е посочена средата на месец юли 2019 г. като начален момент на изпитаните тревоги, вследствие неправомерното разпространение на личните данни на ищцата. По изложените съображения и на основание чл. 221, ал. 2, изречение второ от АПК, настоящият съдебен състав приема, че обжалваното решение на АССГ е валидно, допустимо и правилно като не са налице наведените в касационната жалба основания, поради което следва да бъде оставено в сила. С оглед изхода на делото няма възможност за присъждане на претендираното от касатора юрисконсултско възнаграждение. По тези съображения, Върховният административен съд, пето отделение,